Uni Direct Limited Personvernstandard

1. Tolkning

- Definisjoner:

Automatisert beslutningstaking (ADM): Når det fattes en beslutning som utelukkende er basert på automatisert behandling (inkludert profilering) som har rettsvirkning eller i betydelig grad påvirker en enkeltperson. GDPR forbyr automatisert beslutningstaking (med mindre visse vilkår er oppfylt), men ikke automatisert behandling.
Automatisert behandling: enhver form for automatisert behandling av personopplysninger som består i bruk av personopplysninger for å evaluere visse personlige aspekter knyttet til en person, særlig for å analysere eller forutsi aspekter som gjelder personens arbeidsprestasjoner, økonomiske situasjon, helse, personlige preferanser, interesser, pålitelighet, atferd, plassering eller bevegelser. Profilering er et eksempel på automatisert behandling.
Selskapets navn: Uni Direct Limited
Selskapets personell: alle ansatte, arbeidere [entreprenører, innleide, konsulenter,] styremedlemmer, medlemmer og andre.
Samtykke: samtykke som må være frivillig, spesifikt, informert og være en utvetydig angivelse av den registrertes ønsker, der den registrerte ved en erklæring eller en klar positiv handling gir sitt samtykke til behandling av personopplysninger som gjelder vedkommende.
Behandlingsansvarlig: den personen eller organisasjonen som bestemmer når, hvorfor og hvordan personopplysninger skal behandles. Den er ansvarlig for å etablere praksis og retningslinjer i tråd med GDPR. Vi er behandlingsansvarlig for alle personopplysninger som gjelder selskapets ansatte og personopplysninger som brukes i vår virksomhet for våre egne kommersielle formål.
Registrerte: en levende, identifisert eller identifiserbar person som vi har personopplysninger om. Den registrerte kan være statsborger eller bosatt i et hvilket som helst land, og kan ha juridiske rettigheter med hensyn til personopplysningene sine.
Vurdering av personvernkonsekvenser (DPIA): verktøy og vurderinger som brukes til å identifisere og redusere risikoen ved en databehandlingsaktivitet. DPIA kan utføres som en del av innebygd personvern og bør gjennomføres for alle større system- eller forretningsendringsprogrammer som involverer behandling av personopplysninger.
Personvernombud (DPO): den personen som skal utnevnes under bestemte omstendigheter i henhold til GDPR. Der det ikke er utnevnt et obligatorisk personvernombud, betyr dette begrepet en databeskyttelsesansvarlig eller annen frivillig utnevnelse av et personvernombud, eller refererer til selskapets personvernteam med ansvar for overholdelse av personvernregler.
EØS: de 28 landene i EU, samt Island, Liechtenstein og Norge.
Eksplisitt samtykke: Samtykke som krever en veldig klar og spesifikk uttalelse (det vil si ikke bare en handling).
Personvernforordningen (GDPR): Personvernforordningen ((EU) 2016/679). Personopplysninger er underlagt de rettslige sikkerhetstiltakene som er spesifisert i GDPR.
Personopplysninger: all informasjon som identifiserer en registrert person eller informasjon knyttet til en registrert person som vi kan identifisere (direkte eller indirekte) fra disse opplysningene alene eller i kombinasjon med andre identifikatorer vi har eller med rimelighet kan få tilgang til. Personopplysninger omfatter sensitive personopplysninger og pseudonymiserte personopplysninger, men omfatter ikke anonyme opplysninger eller opplysninger der identiteten til en person er permanent fjernet. Personopplysninger kan være faktiske opplysninger (for eksempel navn, e-postadresse, sted eller fødselsdato) eller en mening om en persons handlinger eller atferd.
Brudd på personopplysninger: enhver handling eller unnlatelse som kompromitterer sikkerheten, konfidensialiteten, integriteten eller tilgjengeligheten til personopplysninger eller de fysiske, tekniske, administrative eller organisatoriske sikkerhetstiltakene som vi eller våre tredjeparts tjenesteleverandører har iverksatt for å beskytte dem. Tap, eller uautorisert tilgang, utlevering eller tilegnelse av personopplysninger er et brudd på personopplysningssikkerheten.
Innebygd personvern: implementering av egnede tekniske og organisatoriske tiltak på en effektiv måte for å sikre samsvar med personvernforordningen.
Personvernerklæringer (også kalt «Fair Processing Notices») eller personvernerklæringer: separate erklæringer som inneholder informasjon som kan gis til de registrerte når selskapet samler inn informasjon om dem. Disse erklæringene kan ha form av generelle personvernerklæringer som gjelder for en bestemt gruppe personer (for eksempel personvernerklæringer for ansatte eller personvernerklæringen for nettstedet), eller de kan være frittstående, enkeltstående personvernerklæringer som dekker behandling knyttet til et bestemt formål.
Behandling eller prosessering: enhver aktivitet som innebærer bruk av personopplysninger. Det omfatter innhenting, registrering eller oppbevaring av opplysningene, eller utførelse av enhver operasjon eller rekke av operasjoner på opplysningene, inkludert organisering, endring, gjenfinning, bruk, utlevering, sletting eller tilintetgjøring av dem. Behandling omfatter også overføring av personopplysninger til tredjeparter.
Pseudonymisering eller pseudonymisert: Erstatning av opplysninger som direkte eller indirekte identifiserer en person med en eller flere kunstige identifikatorer eller pseudonymer, slik at personen som opplysningene gjelder, ikke kan identifiseres uten bruk av tilleggsopplysninger som er ment å oppbevares separat og sikkert.
Relaterte retningslinjer: Selskapets retningslinjer, driftsprosedyrer eller prosesser knyttet til denne personvernstandarden og utformet for å beskytte Personopplysninger, som kan være på plass fra tid til annen og er tilgjengelige på forespørsel.
Sensitive personopplysninger: opplysninger som avslører rasemessig eller etnisk opprinnelse, politiske meninger, religiøs eller lignende overbevisning, fagforeningsmedlemskap, fysiske eller psykiske helsetilstander, seksualliv, seksuell legning, biometriske eller genetiske opplysninger og personopplysninger knyttet til straffbare handlinger og domfellelser.

2. Innledning

Denne personvernstandarden beskriver hvordan Uni Direct Limited («vi», «vår», «oss», «selskapet») håndterer personopplysningene til våre kunder, leverandører, ansatte, medarbeidere og andre tredjeparter.

Denne personvernstandarden gjelder for alle personopplysninger vi behandler, uavhengig av hvilket medium opplysningene er lagret på, eller om de gjelder tidligere eller nåværende ansatte, arbeidstakere, kunder, klienter eller leverandørkontakter, aksjonærer, brukere av nettstedet eller andre registrerte.

Denne personvernstandarden gjelder for alle ansatte i selskapet («du», «din»). Du må lese, forstå og overholde denne personvernstandarden når du behandler personopplysninger på våre vegne, og du må delta på opplæring om kravene i den. Denne personvernstandarden beskriver hva vi forventer av deg for at selskapet skal kunne overholde gjeldende lovgivning. Du er forpliktet til å overholde denne personvernstandarden. Relaterte retningslinjer er tilgjengelige for å hjelpe deg med å tolke og handle i samsvar med denne personvernstandarden. Du må også overholde alle slike relaterte retningslinjer. Ethvert brudd på denne personvernstandarden kan føre til disiplinærtiltak.

Denne personvernstandarden (sammen med tilhørende retningslinjer) er et internt dokument og kan ikke deles med tredjeparter, kunder eller tilsynsmyndigheter uten forhåndsgodkjenning fra personvernombudet.

3. Omfang

Vi erkjenner at korrekt og lovlig behandling av personopplysninger vil opprettholde tilliten til organisasjonen og bidra til en vellykket forretningsdrift. Å beskytte konfidensialiteten og integriteten til personopplysningene er et kritisk ansvar som vi til enhver tid tar på alvor. Selskapet risikerer bøter på opptil 20 millioner euro (ca. 18 millioner britiske pund) eller 4 % av den totale årlige omsetningen på verdensbasis, avhengig av hva som er høyest og avhengig av bruddet, for manglende overholdelse av bestemmelsene i personvernforordningen.

Alle styremedlemmer og ledere er ansvarlige for å sikre at alle ansatte i selskapet overholder denne personvernstandarden, og de må implementere egnede rutiner, prosesser, kontroller og opplæring for å sikre slik overholdelse.

Personvernombudet er ansvarlig for å føre tilsyn med denne personvernstandarden og, der det er relevant, utvikle tilhørende retningslinjer.

Ta kontakt med personvernombudet hvis du har spørsmål om hvordan denne personvernstandarden eller personvernforordningen fungerer, eller hvis du er bekymret for at denne personvernstandarden ikke følges eller ikke har blitt fulgt. Du må alltid kontakte personvernombudet i følgende tilfeller:

hvis du er usikker på det rettslige grunnlaget som du påberoper deg for å behandle personopplysninger (inkludert de legitime interessene som brukes av selskapet) (se avsnitt 5.1 nedenfor);
hvis du må basere deg på samtykke og/eller trenger å innhente eksplisitt samtykke (se avsnitt 5.2 nedenfor);
hvis du trenger å utarbeide personvernerklæringer eller varsler om rettferdig behandling (se avsnitt 5.3 nedenfor);
hvis du er usikker på oppbevaringsperioden for personopplysningene som behandles (se avsnitt 9 nedenfor);
hvis du er usikker på hvilke sikkerhetstiltak eller andre tiltak du må iverksette for å beskytte personopplysningene (se avsnitt 10.1 nedenfor);
hvis det har forekommet et brudd på personopplysningssikkerheten(avsnitt 10.2 nedenfor);
hvis du er usikker på hvilket grunnlag du skal overføre personopplysninger utenfor EØS (se avsnitt 11 nedenfor);
hvis du trenger hjelp med å håndtere rettigheter som påberopes av en registrert (se avsnitt 12);
når du deltar i en betydelig ny eller endret behandlingsaktivitet som sannsynligvis vil kreve en vurdering av personvernkonsekvenser (se avsnitt 13.4 nedenfor) eller planlegger å bruke personopplysninger til andre formål enn det de ble samlet inn for;
Hvis du planlegger å utføre aktiviteter som involverer automatisert behandling, inkludert profilering eller automatisert beslutningstaking (se avsnitt 13.5 nedenfor);
Hvis du trenger hjelp til å overholde gjeldende lovgivning når du utfører direkte markedsføringsaktiviteter (se avsnitt 13.6 nedenfor); eller
hvis du trenger hjelp med kontrakter eller andre områder i forbindelse med deling av personopplysninger med tredjeparter (inkludert våre leverandører) (se avsnitt 13.7 nedenfor).

4. Prinsipper for beskyttelse av personopplysninger

Vi overholder prinsippene for behandling av personopplysninger som er fastsatt i personvernforordningen, som krever at personopplysninger skal behandles:

Behandles på en lovlig, rettferdig og åpen måte (lovlighet, rettferdighet og åpenhet).
Samles kun inn for spesifiserte, eksplisitte og legitime formål (formålsbegrensning).
Tilstrekkelig, relevant og begrenset til det som er nødvendig i forhold til de formålene opplysningene behandles for (dataminimering).
Nøyaktige og om nødvendig oppdaterte (Nøyaktighet).
Ikke oppbevares i en form som gjør det mulig å identifisere de registrerte lenger enn det som er nødvendig for de formålene opplysningene behandles for (lagringsbegrensning).
Behandles på en måte som sikrer sikkerheten ved hjelp av egnede tekniske og organisatoriske tiltak for å beskytte mot uautorisert eller ulovlig behandling og mot utilsiktet tap, ødeleggelse eller skade (sikkerhet, integritet og konfidensialitet).
Ikke overføres til et annet land uten at det er iverksatt egnede sikkerhetstiltak (overføringsbegrensning).
Gjøres tilgjengelig for de registrerte, og de registrerte kan utøve visse rettigheter i forbindelse med personopplysningene sine (den registrertes rettigheter og forespørsler).

Vi er ansvarlige for og må kunne påvise at vi overholder personvernprinsippene som er oppført ovenfor (ansvarlighet).

5. Lovlighet, rettferdighet, åpenhet

- Lovlighet og rettferdighet

Personopplysninger må behandles lovlig, rettferdig og på en åpen måte i forhold til den registrerte.

Du kan bare samle inn, behandle og dele personopplysninger på en rettferdig og lovlig måte og til spesifiserte formål. GDPR begrenser våre handlinger med hensyn til personopplysninger til spesifiserte lovlige formål. Disse begrensningene er ikke ment å forhindre behandling, men sikrer at vi behandler personopplysninger på en rettferdig måte og uten å påvirke den registrerte negativt.

GDPR tillater behandling for spesifikke formål, hvorav noen er beskrevet nedenfor:

den registrerte har gitt sitt samtykke;
Behandlingen er nødvendig for å oppfylle en kontrakt med den Registrerte;
for å oppfylle våre juridiske forpliktelser;
for å beskytte den registrertes vitale interesser; eller
for å forfølge våre legitime interesser for formål der de ikke tilsidesettes fordi behandlingen skader de registrertes interesser eller grunnleggende rettigheter og friheter. Formålene vi behandler personopplysninger for av berettigede interesser, må angis i gjeldende personvernerklæringer eller merknader om rettferdig behandling.

Du må identifisere og dokumentere det rettslige grunnlaget som legges til grunn for hver behandlingsaktivitet.

Samtykke

En behandlingsansvarlig må kun behandle personopplysninger på grunnlag av ett eller flere av de lovlige grunnlagene som er angitt i personvernforordningen, deriblant samtykke.

En registrert person samtykker til behandling av personopplysningene sine hvis vedkommende gir klart uttrykk for at han eller hun samtykker til behandlingen, enten gjennom en uttalelse eller en positiv handling. Samtykke krever en bekreftende handling, så taushet, forhåndsavkryssede bokser eller inaktivitet er sannsynligvis ikke tilstrekkelig. Hvis samtykket gis i et dokument som omhandler andre forhold, må samtykket holdes adskilt fra disse andre forholdene.

Den registrerte må enkelt kunne trekke tilbake samtykket til behandling når som helst, og tilbaketrekking må respekteres umiddelbart. Samtykket må kanskje oppdateres hvis du har til hensikt å behandle personopplysninger for et annet og uforenlig formål som ikke ble oppgitt da den registrerte først ga sitt samtykke.

Med mindre vi kan påberope oss et annet rettslig grunnlag for behandling, kreves det vanligvis uttrykkelig samtykke for behandling av sensitive personopplysninger, for automatisert beslutningstaking og for grenseoverskridende dataoverføringer. Vanligvis vil vi basere oss på et annet rettslig grunnlag (og ikke kreve uttrykkelig samtykke) for å behandle de fleste typer sensitive opplysninger. Der det kreves uttrykkelig samtykke, må du utstede en melding om rettferdig behandling til den registrerte for å innhente uttrykkelig samtykke.

Du må dokumentere at samtykke er innhentet, og føre oversikt over alle samtykker, slik at selskapet kan påvise at samtykkekravene overholdes.

Åpenhet (varsling av de registrerte)

Personvernforordningen krever at behandlingsansvarlige gir detaljert og spesifikk informasjon til de registrerte, avhengig av om informasjonen er innhentet direkte fra de registrerte eller fra andre kilder. Slik informasjon må gis i form av passende personvernerklæringer eller merknader om rettferdig behandling, som må være konsise, gjennomsiktige, forståelige, lett tilgjengelige og skrevet på et klart og tydelig språk, slik at den registrerte lett kan forstå dem.

Når vi samler inn personopplysninger direkte fra den registrerte, inkludert for personal- eller ansettelsesformål, må vi gi den registrerte all informasjon som kreves av GDPR, inkludert identiteten til den behandlingsansvarlige og personvernombudet, hvordan og hvorfor vi vil bruke, behandle, utlevere, beskytte og oppbevare disse personopplysningene gjennom en melding om rettferdig behandling som må presenteres når den registrerte først oppgir personopplysningene.

Når personopplysninger samles inn indirekte (for eksempel fra en tredjepart eller en offentlig tilgjengelig kilde), må du gi den registrerte all informasjon som kreves i henhold til GDPR så snart som mulig etter at du har samlet inn/mottatt opplysningene. Du må også kontrollere at personopplysningene ble samlet inn av tredjeparten i samsvar med personvernforordningen og på et grunnlag som er i samsvar med vår foreslåtte behandling av disse personopplysningene.

6. Formålsbegrensning

Personopplysninger må kun samles inn for spesifiserte, uttrykkelig angitte og legitime formål. De må ikke behandles videre på noen måte som er uforenlig med disse formålene.

Du kan ikke bruke personopplysningene til nye, andre eller uforenlige formål enn de som ble oppgitt da de først ble innhentet, med mindre du har informert den registrerte om de nye formålene og vedkommende har gitt sitt samtykke der det er nødvendig.

7. Dataminimering

Personopplysningene må være adekvate, relevante og begrenset til det som er nødvendig i forhold til de formålene de behandles for.

Du kan bare behandle personopplysninger når det er nødvendig for å utføre arbeidsoppgavene dine. Du kan ikke behandle personopplysninger av grunner som ikke er relatert til arbeidsoppgavene dine.

Du kan bare samle inn personopplysninger som du trenger for å utføre arbeidsoppgavene dine: ikke samle inn for mye data. Sørg for at alle personopplysninger som samles inn, er tilstrekkelige og relevante for de tiltenkte formålene.

Du må sørge for at personopplysningene slettes eller anonymiseres i samsvar med selskapets retningslinjer for oppbevaring av data når de ikke lenger er nødvendige for de angitte formålene.

8. Nøyaktighet

Personopplysningene må være korrekte og, om nødvendig, oppdaterte. De må korrigeres eller slettes uten forsinkelse når de er unøyaktige.

Du skal sørge for at personopplysningene vi bruker og oppbevarer, er nøyaktige, fullstendige, oppdaterte og relevante for det formålet de ble samlet inn for. Du må kontrollere nøyaktigheten av alle personopplysninger ved innsamlingen og med jevne mellomrom etterpå. Du må ta alle rimelige skritt for å tilintetgjøre eller endre unøyaktige eller utdaterte personopplysninger.

9. Lagringsbegrensning

Personopplysninger må ikke oppbevares i en identifiserbar form lenger enn det som er nødvendig for de formålene opplysningene behandles for.

Du må ikke oppbevare personopplysninger i en form som gjør det mulig å identifisere den registrerte lenger enn det som er nødvendig for det eller de legitime forretningsformålene som vi opprinnelig samlet dem inn for, inkludert for å oppfylle juridiske, regnskapsmessige eller rapporteringsmessige krav.

Selskapet vil opprettholde retningslinjer og prosedyrer for oppbevaring for å sikre at personopplysninger slettes etter en rimelig tid for de formålene de ble oppbevart for, med mindre en lov krever at slike data skal oppbevares i en minimumsperiode.

Du skal ta alle rimelige skritt for å tilintetgjøre eller slette fra våre systemer alle personopplysninger som vi ikke lenger trenger, i samsvar med alle selskapets gjeldende tidsplaner og retningslinjer for oppbevaring av arkiver. Dette inkluderer å kreve at tredjeparter sletter slike data der det er aktuelt.

Du skal sørge for at de registrerte blir informert om hvor lenge opplysningene lagres, og hvordan denne perioden fastsettes, i en eventuell gjeldende personvernerklæring eller melding om rettferdig behandling.

10. Sikkerhet, integritet og konfidensialitet

- Beskyttelse av personopplysninger

Personopplysninger må sikres ved hjelp av egnede tekniske og organisatoriske tiltak mot uautorisert eller ulovlig behandling, og mot utilsiktet tap, ødeleggelse eller skade.

Vi vil utvikle, implementere og opprettholde sikkerhetstiltak som er tilpasset vår størrelse, omfang og virksomhet, våre tilgjengelige ressurser, mengden personopplysninger som vi eier eller oppbevarer på vegne av andre, og identifiserte risikoer (inkludert bruk av kryptering og pseudonymisering der det er aktuelt). Vi vil jevnlig evaluere og teste effektiviteten av disse sikkerhetstiltakene for å sikre vår behandling av personopplysninger. Du er ansvarlig for å beskytte personopplysningene vi oppbevarer. Du må iverksette rimelige og hensiktsmessige sikkerhetstiltak mot ulovlig eller uautorisert Behandling av Personopplysninger og mot utilsiktet tap av eller skade på Personopplysninger. Du må utvise særlig forsiktighet når det gjelder å beskytte sensitive personopplysninger mot tap og uautorisert tilgang, bruk eller utlevering.

Du må følge alle prosedyrer og teknologier vi har innført for å opprettholde sikkerheten til alle personopplysninger fra innsamlingstidspunktet til destruksjonstidspunktet. Du kan bare overføre personopplysninger til tredjeparts tjenesteleverandører som samtykker i å overholde de nødvendige retningslinjene og prosedyrene og som samtykker i å iverksette tilstrekkelige tiltak på forespørsel.

Du må opprettholde datasikkerheten ved å beskytte konfidensialiteten, integriteten og tilgjengeligheten til personopplysningene, definert som følger:

Konfidensialitet betyr at bare personer som har behov for å vite og er autorisert til å bruke personopplysningene, har tilgang til dem.
Integritet betyr at personopplysningene er nøyaktige og egnet for det formålet de behandles for.
Tilgjengelighet betyr at autoriserte brukere har tilgang til personopplysningene når de trenger dem for autoriserte formål.

Du må overholde alle gjeldende aspekter av våre retningslinjer for informasjonssikkerhet og GDPR-samsvar som til enhver tid gjelder, og du må overholde og ikke forsøke å omgå de administrative, fysiske og tekniske sikkerhetstiltakene vi implementerer og opprettholder i samsvar med GDPR og relevante standarder for å beskytte personopplysningene.

Rapportering av brudd på personopplysningssikkerheten

Personvernforordningen krever at behandlingsansvarlige varsler om brudd på personopplysningssikkerheten til den aktuelle tilsynsmyndigheten og, i visse tilfeller, til den registrerte.

Vi har innført prosedyrer for å håndtere eventuelle mistanker om brudd på personopplysningssikkerheten, og vi vil varsle de registrerte eller eventuelle tilsynsmyndigheter der vi er rettslig forpliktet til å gjøre det.

Hvis du vet eller mistenker at det har skjedd et brudd på personopplysningssikkerheten, må du ikke forsøke å etterforske saken selv. Ta umiddelbart kontakt med personen eller teamet som er utpekt som hovedkontaktpunkt for brudd på personopplysningssikkerheten, og følg responsplanen for sikkerhetsbrudd. Du bør ta vare på alt bevismateriale knyttet til det potensielle bruddet på personopplysningssikkerheten.

11.Overføringsbegrensning

GDPR begrenser dataoverføringer til land utenfor EØS for å sikre at nivået av databeskyttelse som GDPR gir enkeltpersoner, ikke undergraves. Du overfører personopplysninger med opprinnelse i ett land over landegrensene når du overfører, sender, viser eller får tilgang til disse opplysningene i eller til et annet land.

Du kan bare overføre personopplysninger utenfor EØS hvis ett av følgende vilkår gjelder:

EU-kommisjonen har utstedt en beslutning som bekrefter at landet vi overfører personopplysningene til, sikrer et tilstrekkelig beskyttelsesnivå for de registrertes rettigheter og friheter;
egnede sikkerhetstiltak er på plass, for eksempel bindende konsernregler (BCR), standard kontraktsklausuler godkjent av EU-kommisjonen, godkjente etiske retningslinjer eller en sertifiseringsmekanisme, som du kan få en kopi av fra personvernombudet;
den Registrerte har gitt uttrykkelig samtykke til den foreslåtte overføringen etter å ha blitt informert om eventuelle potensielle risikoer; eller
overføringen er nødvendig av en av de andre grunnene som er angitt i GDPR, inkludert oppfyllelse av en kontrakt mellom oss og den registrerte, av hensyn til allmennhetens interesse, for å fastsette, gjøre gjeldende eller forsvare rettskrav eller for å beskytte den registrertes vitale interesser der den registrerte er fysisk eller juridisk ute av stand til å gi samtykke, og i noen begrensede tilfeller av hensyn til vår berettigede interesse.

Du må overholde selskapets retningslinjer for grenseoverskridende dataoverføringer.

12. Den registrertes rettigheter og forespørsler

De registrerte har rettigheter når det gjelder hvordan vi håndterer personopplysningene deres. Disse inkluderer rettigheter til:

når som helst trekke tilbake samtykket til behandling;
motta viss informasjon om den behandlingsansvarliges behandlingsaktiviteter;
be om tilgang til personopplysningene deres som vi oppbevarer;
forhindre at vi bruker personopplysningene deres til direkte markedsføring;
be oss om å slette personopplysninger hvis de ikke lenger er nødvendige i forhold til formålene de ble samlet inn eller behandlet for, eller å korrigere unøyaktige data eller å komplettere ufullstendige data;
begrense behandlingen under bestemte omstendigheter;
utfordre Behandling som er berettiget på grunnlag av våre legitime interesser eller i allmennhetens interesse;
be om en kopi av en avtale der personopplysninger overføres utenfor EØS;
motsette deg avgjørelser som utelukkende er basert på automatisert behandling, inkludert profilering (ADM);
forhindre behandling som sannsynligvis vil forårsake skade eller lidelse for den registrerte eller noen andre;
bli varslet om et brudd på personopplysningssikkerheten som sannsynligvis vil medføre høy risiko for deres rettigheter og friheter;
klage til tilsynsmyndigheten; og
under begrensede omstendigheter motta eller be om at personopplysningene deres overføres til en tredjepart i et strukturert, vanlig brukt og maskinlesbart format.

Du må verifisere identiteten til en person som ber om opplysninger i henhold til en av rettighetene som er nevnt ovenfor (ikke la tredjeparter overtale deg til å utlevere personopplysninger uten behørig tillatelse).

Du må umiddelbart videresende alle forespørsler fra den registrerte som du mottar, til din overordnede og følge selskapets svarprosess for den registrerte.

13. Ansvarlighet

- Den behandlingsansvarlige må iverksette egnede tekniske og organisatoriske tiltak på en effektiv måte for å sikre at personvernprinsippene overholdes. Den behandlingsansvarlige er ansvarlig for, og må kunne påvise, at personvernprinsippene overholdes.

Selskapet må ha tilstrekkelige ressurser og kontroller på plass for å sikre og dokumentere overholdelse av GDPR, inkludert

utnevne et personvernombud med passende kvalifikasjoner (der det er nødvendig) og en leder med ansvar for personvern;
implementere innebygd personvern ved behandling av personopplysninger og gjennomføre DPIA-er der behandlingen utgjør en høy risiko for de registrertes rettigheter og friheter;
integrere databeskyttelse i interne dokumenter, inkludert denne personvernstandarden, relaterte retningslinjer, personvernerklæringer eller varsler om rettferdig behandling;
regelmessig opplæring av selskapets ansatte i GDPR, denne personvernstandarden og relaterte retningslinjer og personvernspørsmål, herunder for eksempel den registrertes rettigheter, samtykke, rettslig grunnlag, vurdering av personvernkonsekvenser og brudd på personopplysningssikkerheten. Selskapet må føre en oversikt over opplæringsdeltakelsen til selskapets ansatte; og
regelmessig teste personverntiltakene som er iverksatt, og gjennomføre periodiske gjennomganger og revisjoner for å vurdere samsvar, herunder bruke resultatene av testingen til å påvise forbedringstiltak for samsvar.

Journalføring

GDPR krever at vi fører fullstendige og nøyaktige registre over alle databehandlingsaktivitetene våre.

Du må føre og vedlikeholde nøyaktige bedriftsregistre som gjenspeiler vår behandling, inkludert registre over de registrertes samtykker og prosedyrer for innhenting av samtykker.

Disse registrene bør som et minimum inneholde navn og kontaktinformasjon til den behandlingsansvarlige og personvernombudet, klare beskrivelser av personopplysningstyper, typer registrerte, behandlingsaktiviteter, behandlingsformål, tredjepartsmottakere av personopplysningene, lagringssteder for personopplysninger, overføringer av personopplysninger, oppbevaringsperiode for personopplysningene og en beskrivelse av sikkerhetstiltakene som er iverksatt. For å kunne opprette slike registre bør det opprettes datakart som inneholder detaljene som er beskrevet ovenfor, sammen med passende dataflyt.

Opplæring og revisjon

Vi er pålagt å sørge for at alle selskapets ansatte har gjennomgått tilstrekkelig opplæring slik at de kan overholde personvernlovgivningen. Vi må også jevnlig teste systemene og prosessene våre for å vurdere samsvar.

Du må gjennomgå all obligatorisk opplæring i personvern og sørge for at teamet ditt gjennomgår tilsvarende obligatorisk opplæring.

Du må regelmessig gjennomgå alle systemer og prosesser du har kontroll over, for å sikre at de er i samsvar med denne personvernstandarden, og kontrollere at det finnes tilstrekkelige styringskontroller og ressurser på plass for å sikre riktig bruk og beskyttelse av personopplysninger.

Innebygd personvern og konsekvensanalyse av personvern (DPIA)

Vi er pålagt å implementere innebygd personvern ved behandling av personopplysninger ved å implementere egnede tekniske og organisatoriske tiltak (som pseudonymisering) på en effektiv måte for å sikre at vi overholder personvernprinsippene.

Du må vurdere hvilke innebygde personverntiltak som kan implementeres i alle programmer/systemer/prosesser som behandler personopplysninger, ved å ta hensyn til følgende

det nyeste på området;
kostnadene ved implementering;
behandlingens art, omfang, sammenheng og formål; og
risikoene av varierende sannsynlighet og alvorlighetsgrad for de registrertes rettigheter og friheter som Behandlingen utgjør.

Behandlingsansvarlige må også gjennomføre en vurdering av personvernkonsekvenser i forbindelse med høyrisikobaserte behandlinger.

Du bør gjennomføre en vurdering av personvernkonsekvenser (og diskutere funnene dine med personvernombudet) når du implementerer større system- eller forretningsendringsprogrammer som involverer behandling av personopplysninger, inkludert

bruk av ny teknologi (programmer, systemer eller prosesser), eller endring av teknologi (programmer, systemer eller prosesser);
Automatisert behandling, inkludert profilering og ADM;
behandling av sensitive data i stor skala; og
storskala, systematisk overvåking av et offentlig tilgjengelig område.

En DPIA må omfatte

en beskrivelse av behandlingen, dens formål og den behandlingsansvarliges berettigede interesser, hvis det er relevant;
en vurdering av nødvendigheten og forholdsmessigheten av behandlingen i forhold til formålet;
en vurdering av risikoen for enkeltpersoner; og
risikoreduserende tiltak som er iverksatt, og påvisning av samsvar.

Automatisert behandling (inkludert profilering) og automatisert beslutningstaking

ADM er generelt forbudt når en beslutning har en juridisk eller lignende betydelig effekt på en enkeltperson, med mindre:

den registrerte har gitt sitt uttrykkelige samtykke;
behandlingen er hjemlet i lov; eller
behandlingen er nødvendig for å oppfylle eller inngå en kontrakt.

Hvis visse typer sensitive opplysninger behandles, vil ikke grunnlag (b) eller (c) være tillatt, men slike sensitive opplysninger kan behandles der det er nødvendig (med mindre mindre mindre inngripende metoder kan brukes) av hensyn til vesentlige samfunnsinteresser, for eksempel forebygging av svindel.

Hvis en avgjørelse utelukkende skal baseres på automatisert behandling (inkludert profilering), må de registrerte informeres om sin rett til å protestere når du først kommuniserer med dem. Denne retten må gjøres eksplisitt oppmerksom på og presenteres tydelig og atskilt fra annen informasjon. Videre må det iverksettes egnede tiltak for å sikre den registrertes rettigheter og friheter og berettigede interesser.

Vi må også informere den registrerte om logikken som ligger til grunn for beslutningen eller profileringen, betydningen og de forventede konsekvensene, og gi den registrerte rett til å be om menneskelig inngripen, gi uttrykk for sitt synspunkt eller bestride beslutningen.

En vurdering av personvernkonsekvenser må gjennomføres før automatisert behandling (inkludert profilering) eller ADM-aktiviteter iverksettes.

Direkte markedsføring

Vi er underlagt visse regler og lover om personvern når vi markedsfører oss overfor kundene våre.

For eksempel kreves det forhåndssamtykke fra den registrerte for elektronisk direktemarkedsføring (for eksempel via e-post, SMS eller automatiserte oppringninger). Det begrensede unntaket for eksisterende kunder, såkalt «soft opt in», gjør det mulig for organisasjoner å sende markedsføring på SMS eller e-post hvis de har innhentet kontaktopplysninger i forbindelse med et salg til vedkommende, hvis de markedsfører lignende produkter eller tjenester, og hvis de ga personen mulighet til å reservere seg mot markedsføring da de først innhentet opplysningene og i alle påfølgende meldinger.

Retten til å motsette seg direkte markedsføring må eksplisitt tilbys den registrerte på en forståelig måte, slik at den klart kan skilles fra annen informasjon.

En registrert persons innsigelse mot direkte markedsføring må respekteres umiddelbart. Hvis en kunde på et hvilket som helst tidspunkt reserverer seg, skal opplysningene slettes så snart som mulig. Undertrykkelse innebærer å beholde akkurat nok informasjon til å sikre at markedsføringspreferansene respekteres i fremtiden.

Deling av personopplysninger

Generelt har vi ikke lov til å dele personopplysninger med tredjeparter med mindre visse sikkerhetstiltak og kontraktsmessige ordninger er på plass.

Du kan bare dele personopplysningene vi har med en annen ansatt, agent eller representant for vår gruppe (som inkluderer våre datterselskaper og vårt ultimate holdingselskap sammen med dets datterselskaper) hvis mottakeren har et jobbrelatert behov for å kjenne til informasjonen og overføringen er i samsvar med gjeldende begrensninger for overføring over landegrensene.

Du kan bare dele personopplysningene vi har med tredjeparter, for eksempel tjenesteleverandørene våre, hvis:

de har behov for å kjenne til informasjonen for å kunne levere de avtalte tjenestene;
dele personopplysningene i samsvar med personvernerklæringen som er gitt til den registrerte, og, om nødvendig, at den registrertes samtykke er innhentet;
tredjeparten har forpliktet seg til å overholde de nødvendige datasikkerhetsstandardene, retningslinjene og prosedyrene og iverksette tilstrekkelige sikkerhetstiltak;
overføringen er i samsvar med alle gjeldende restriksjoner for grenseoverskridende overføringer; og
en fullstendig skriftlig kontrakt som inneholder GDPR-godkjente tredjepartsklausuler, er innhentet.

Endringer i denne personvernstandarden

Vi forbeholder oss retten til å endre denne personvernstandarden når som helst uten å varsle deg, så vennligst kom tilbake med jevne mellomrom for å få den nyeste utgaven av denne personvernstandarden.

Denne personvernstandarden overstyrer ikke gjeldende nasjonale personvernlover og -forskrifter i land der selskapet driver virksomhet.